Czym jest MyDr, źródło potężnego wycieku? Nigdy o nich nie słyszałeś, a mają twój PESEL
Wyciek danych 19 mln Polaków ma źródło w firmie, której nazwy większość z nas mogła nigdy nie słyszeć. Czym właściwie zajmuje się MyDr?
12 sierpnia Minister cyfryzacji Krzysztof Gawkowski poinformował o jednym z największych wycieków danych w historii Polski. Podmiot świadczący usługi informatyczne dla placówek ochrony zdrowia - polska firma MyDr - padł ofiarą cyberataku, w wyniku którego wykradziono dane mogące dotyczyć blisko 19 mln Polaków.
Wśród przejętych informacji znalazły się numery PESEL, dane osobowe oraz informacje związane z wizytami i receptami. Skala incydentu jest szczególnie duża właśnie dlatego, że MyDr dostarcza oprogramowanie tysiącom placówek medycznych. Ale co to właściwie za firma, której system stał się źródłem tak ogromnego wycieku?
Wyciek danych 19 mln Polaków. Odpowiedzialna jest firma MyDr
O ataku jako pierwszy poinformował portal Zaufana Trzecia Strona. Osoby podające się za sprawców twierdzą, że uzyskały dostęp do 18 814 422 unikalnych numerów PESEL, a skradziona baza ma rozmiar około 2,5 TB. W przekazanej próbce znajdowały się m.in. imię i nazwisko, data urodzenia, PESEL, dwa numery telefonu, region NFZ oraz informacje o receptach. Część tych danych została niezależnie zweryfikowana jako prawdziwa.
Początkowo skala wycieku nie była jeszcze potwierdzona. 12 sierpnia po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa Krzysztof Gawkowski poinformował jednak, że doszło do "nadzwyczajnego wycieku danych" sięgającego blisko 19 mln obywateli. Minister zaznaczył przy tym, że nie każdy rekord musi zawierać taki sam zestaw informacji. Sprawą zajmują się m.in. Centralne Biuro Zwalczania Cyberprzestępczości, prokuratura, Ministerstwo Cyfryzacji, Ministerstwo Zdrowia oraz Urząd Ochrony Danych Osobowych.
MyDr to zaplecze informatyczne polskiej ochrony zdrowia
MyDr nie jest przychodnią ani siecią gabinetów, z której pacjenci korzystają bezpośrednio. Firma jest dostawcą oprogramowania dla placówek medycznych. Jej głównym produktem jest MyDr EDM - system służący do prowadzenia Elektronicznej Dokumentacji Medycznej oraz zarządzania pracą gabinetów, przychodni i innych podmiotów ochrony zdrowia.
Firma została założona w 2017 roku. Od początku rozwija rozwiązania chmurowe przeznaczone dla rynku medycznego. Na swojej stronie MyDr przedstawia się jako zespół zajmujący się tworzeniem programów do prowadzenia Elektronicznej Dokumentacji Medycznej i kompleksowego zarządzania przychodniami.
Najważniejszy jest jednak zakres wykorzystania tego oprogramowania. MyDr podaje, że jej flagowy produkt znalazł zastosowanie w ponad 10 tys. przychodni, zarówno komercyjnych, jak i posiadających kontrakt z NFZ. Według informacji przekazanych przez ministra cyfryzacji z oprogramowania firmy korzysta około 12 tys. placówek. Różnica między tymi liczbami może wynikać ze sposobu liczenia klientów i podmiotów, ale obie pokazują skalę działalności przedsiębiorstwa.
MyDr podaje również, że za pomocą jej platformy realizowanych jest około 3 mln wizyt miesięcznie, a lekarze wystawiają 2,7 mln recept każdego miesiąca. Tak duża liczba operacji sprawia, że system firmy jest elementem codziennego funkcjonowania znacznej części placówek medycznych w Polsce.
Dla pacjenta najważniejsze jest to, że ze swojej perspektywy właściwie nie widzi on, że dana placówka korzysta z usług MyDr. Jeżeli przychodnia lub gabinet używa tego oprogramowania, lekarz może prowadzić w nim dokumentację pacjenta, obsługiwać wizytę czy wystawiać receptę - podczas gdy pacjent ma kontakt wyłącznie z konkretną placówką.
Właśnie ten model działalności wyjaśnia, dlaczego atak na jedną firmę mógł mieć konsekwencje dla milionów osób. Cyberprzestępcy nie musieli włamywać się osobno do tysięcy gabinetów. Uzyskanie dostępu do infrastruktury dostawcy obsługującego tak wiele podmiotów dawało potencjalnie dostęp do danych pochodzących z całego ekosystemu jego klientów.
Dwa główne produkty MyDr - to w nich są twoje dane
MyDr EDM to rozbudowany system do prowadzenia elektronicznej dokumentacji medycznej i zarządzania placówką. Oferuje m.in. moduły do e-recept, e-skierowań i e-zwolnień, integrację z rządową Platformą P1, rozliczenia z NFZ, sprawdzanie statusu ubezpieczenia pacjenta oraz obsługę Karty Diagnostyki i Leczenia Onkologicznego. Chmurowy charakter usługi sprawia, że dane pacjentów wielu niezależnych placówek są przetwarzane w infrastrukturze jednego dostawcy, co tłumaczy potencjalnie ogromną skalę obecnego wycieku.
Firma oferuje także dr100 – oprogramowanie dla gabinetów stomatologicznych z funkcjami takimi jak interaktywny diagram zębowy, karta periodontologiczna oraz moduły protetyczne i ortodontyczne. MyDr obsługuje więc zarówno przychodnie i gabinety lekarskie, jak i placówki dentystyczne, a pacjent może korzystać z jej systemu nawet nie wiedząc, że jego dane są przetwarzane przez tego dostawcę.
MyDr bada, jak doszło do włamania
Na tym etapie wciąż nie znamy pełnego technicznego przebiegu cyberataku. Hakerzy przedstawili własną wersję, według której wykorzystali podatność XXE związaną z obsługą certyfikatów PKCS#12, a następnie mieli zdobyć klucz API GitHuba i uzyskać dostęp do kodu źródłowego.
Ta wersja nie została jednak oficjalnie potwierdzona. MyDr przekazało Polskiej Agencji Prasowej, że zespoły bezpieczeństwa, inżynierii i infrastruktury, wspierane przez zewnętrznych ekspertów cyberbezpieczeństwa, analizują dokładny charakter i sposób potencjalnego nieuprawnionego dostępu, jego chronologię, ewentualne alerty systemowe oraz potencjalny zakres incydentu.
Firma współpracuje również z właściwymi organami i instytucjami rządowymi. MyDr podkreśla, że ponieważ dochodzenie nadal trwa, nie może ujawnić dalszych szczegółów technicznych ani spekulować na temat jego wyników.
Co powinni zrobić Polacy?
Najważniejszym krokiem jest teraz zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie w aplikacji mObywatel, serwisie mObywatel lub w urzędzie gminy. Krzysztof Gawkowski wskazał zastrzeżenie PESEL jako podstawowe działanie po ujawnieniu informacji o wycieku.
Zastrzeżenie utrudnia wykorzystanie numeru PESEL m.in. do zaciągnięcia kredytu lub pożyczki czy dokonania innych czynności, przy których instytucja ma obowiązek sprawdzić status numeru w rejestrze zastrzeżeń.
Warto również zachować szczególną ostrożność wobec telefonów, SMS-ów i wiadomości e-mail dotyczących kwestii zdrowia. Dane z wycieku mogą pozwolić oszustom przygotować znacznie bardziej wiarygodny phishing. Znajomość numeru PESEL, nazwiska, numeru telefonu, placówki medycznej czy informacji o recepcie nie jest dowodem, że osoba kontaktująca się z nami rzeczywiście reprezentuje przychodnię lub inną instytucję.
Rząd przygotowuje również możliwość sprawdzenia swoich danych w serwisie Bezpieczne Dane. Ministerstwo Cyfryzacji zapowiedziało, że po identyfikacji danych poszczególnych osób będą one sukcesywnie przekazywane do serwisu, gdzie obywatele będą mogli sprawdzić, czy incydent ich dotyczy. Proces może potrwać kilka dni, ponieważ administratorami danych są poszczególne gabinety i placówki ochrony zdrowia.
Czytaj też:
Redaktorka Spider's Web specjalizująca się w tematykach sztucznej inteligencji, smartfonów i oprogramowania. Jako sześciolatka powiedziała w wywiadzie dla lokalnej telewizji, że chce zostać dziennikarką. Dzisiaj jest absolwentką dziennikarstwa i komunikacji społecznej na Akademii Humanistyczno-Ekonomicznej w Łodzi. Od dziecka pasjonuje się szeroko pojętymi grami i technologią, a w gimnazjum zapałała miłością do grafiki komputerowej i elektroniki użytkowej. Swoją pasję przekuła w działalność dziennikarską. Prywatnie miłośniczka psów, gotowania i literatury faktu.